768 mln dolarów strat w DeFi: sprawdź swoje token approvals

Koniec września przyniósł rynkowi kryptowalut gorzkie podsumowanie: według raportów firm zajmujących się bezpieczeństwem blockchaina straty z ataków hakerskich, exploitów i luk w protokołach DeFi sięgnęły 768 milionów dolarów, co czyni ten miesiąc najbardziej kosztownym w całym roku. Dla inwestorów detalicznych najważniejszy wniosek nie dotyczy jednak spektakularnych włamań na mosty czy giełdy. Dotyczy czegoś znacznie bardziej przyziemnego, zapomnianych token approvals, czyli pozwoleń, które sami kiedyś podpisaliśmy w portfelu i o których dawno zapomnieliśmy.

Czym właściwie jest token approval

Gdy po raz pierwszy wymieniasz tokeny na zdecentralizowanej giełdzie albo wpłacasz środki do protokołu pożyczkowego, portfel prosi cię o dwa podpisy. Pierwszy to sama transakcja. Drugi, często niezauważany, to zgoda (approval) na to, by smart kontrakt mógł wydawać twoje tokeny w twoim imieniu.

Taka konstrukcja wynika ze standardu ERC-20 i jego odpowiedników w innych sieciach. Kontrakt nie "zabiera" twoich monet w momencie podpisu, dostaje jedynie limit, do wysokości którego może je przesunąć w przyszłości. Problem w tym, że wiele aplikacji domyślnie prosi o limit nieograniczony (tzw. unlimited approval), bo to wygodne: użytkownik płaci za gaz raz, a potem handluje bez dodatkowych potwierdzeń.

Wygoda ma cenę. Pozwolenie nie wygasa samo z siebie. Jeśli rok temu dałeś nieograniczony dostęp do swoich stablecoinów protokołowi, który dziś zostanie zhakowany lub którego zespół porzuci projekt, atakujący może wykorzystać ten stary kontrakt, by wyczyścić twój portfel, bez potrzeby poznania twojej frazy seed.

Dlaczego to właśnie teraz jest problemem

Część wrześniowych strat nie wzięła się z błędów w kodzie nowych protokołów, lecz z przejęcia kontroli nad kontraktami i front-endami aplikacji, które użytkownicy autoryzowali dawno temu. Schemat powtarza się regularnie:

• Exploit kontraktu, napastnik znajduje lukę w logice protokołu i używa wcześniej udzielonych zgód, by drenować portfele użytkowników.
• Przejęcie front-endu, strona wygląda normalnie, ale podsuwa zmodyfikowaną transakcję approval na adres atakującego.
• Phishing na "airdrop" lub "migrację", użytkownik podpisuje coś, co wygląda jak odbiór nagrody, a w rzeczywistości jest zgodą na transfer aktywów.
• Podpisy off-chain (Permit, Permit2), nie kosztują gazu i nie wyglądają jak transakcja, więc łatwiej je podpisać bezrefleksyjnie.

Im dłuższa twoja historia w DeFi, tym więcej masz otwartych drzwi, o których nie pamiętasz. To nie jest problem jednego protokołu, tylko higieny własnego portfela.

Jak odwołać pozwolenia krok po kroku

Odwołanie zgody to zwykła transakcja on-chain, kosztuje gaz, ale jest nieodwracalnie skuteczna. Procedura wygląda tak:

• Wejdź na narzędzie do przeglądu zgód. Najpopularniejsze to Revoke.cash oraz zakładki "Token Approvals" w eksploratorach typu Etherscan, BscScan czy Arbiscan. Zawsze wpisuj adres ręcznie, nie wchodź z wyników wyszukiwarki ani z linków z Telegrama.
• Podłącz portfel lub wklej adres publiczny. Samo sprawdzenie listy nie wymaga podpisu, wystarczy adres.
• Przejrzyj listę sieć po sieci. Pozwolenia są osobne dla Ethereum, Polygonu, Arbitrum, BNB Chain itd. Zacznij od sieci, w których trzymasz najwięcej wartości.
• Zidentyfikuj ryzyko. Priorytet: nieograniczone limity, kontrakty nieznane lub nieaktywne od miesięcy, zgody na NFT (setApprovalForAll) i podpisy Permit2.
• Kliknij "Revoke" i podpisz transakcję. Zweryfikuj w portfelu, że to rzeczywiście odwołanie, a nie transfer.
• Powtarzaj cyklicznie. Przegląd raz na kwartał w zupełności wystarczy.

Ważne: odwołanie zgody nie pomoże, jeśli ktoś zna twoją frazę seed lub klucz prywatny. Wtedy jedynym ratunkiem jest natychmiastowe przeniesienie środków na nowy, czysty portfel.

Profilaktyka zamiast gaszenia pożarów

Kilka nawyków ogranicza ekspozycję bardziej niż jakiekolwiek narzędzie:

• Podziel środki: portfel "handlowy" z małą kwotą do interakcji z DeFi i portfel sprzętowy do długoterminowego przechowywania, który nigdy nie podpisuje approvali.
• Jeśli aplikacja na to pozwala, ustawiaj limit zgody na konkretną kwotę zamiast "unlimited".
• Czytaj okno podpisu, portfele pokazują nazwę kontraktu i rodzaj akcji. Nieznany adres to sygnał ostrzegawczy.
• Traktuj niespodziewane airdropy i "pilne migracje" jako domyślnie wrogie.

Podsumowanie: 768 milionów dolarów strat we wrześniu pokazuje, że największe ryzyko w krypto bywa nie w zmienności kursów, lecz w infrastrukturze, z której korzystamy codziennie. Przegląd token approvals zajmuje kilkanaście minut i kosztuje tyle, co kilka transakcji gazu. To jedna z najtańszych form ochrony kapitału, jakie masz do dyspozycji.

Materiał ma charakter edukacyjny i nie stanowi porady inwestycyjnej. Inwestowanie w kryptowaluty wiąże się z ryzykiem utraty kapitału.

Ten artykuł ma charakter wyłącznie edukacyjny i nie stanowi porady inwestycyjnej, rekomendacji ani oferty w rozumieniu przepisów prawa. Inwestowanie w kryptowaluty i instrumenty finansowe wiąże się z ryzykiem, włącznie z utratą całości zainwestowanych środków.